إعدادات SPF وDKIM وDMARC لإيميل شركتك

إذا كنت تبحث عن إعدادات SPF وDKIM وDMARC فالجواب المختصر هو: هي ثلاثة سجلات تُضاف في إعدادات النطاق (DNS) تثبت لمزودي البريد أن الرسائل الصادرة باسم شركتك أرسلها فعلاً مصرح لهم، وتمنع انتحال نطاقك، وترفع فرص وصول رسائلك إلى صندوق الوارد بدلاً من البريد المزعج. يشرح هذا الدليل كل سجل بلغة واضحة، ثم يعرض ترتيب الإعداد الصحيح والأخطاء الشائعة وكيفية الفحص بعد التفعيل، وهو موجّه لأصحاب الشركات والمسؤولين عن الإيميل في الرياض والدمام والخبر وبقية مدن المملكة.

لماذا تحتاج شركتك إلى إعدادات SPF وDKIM وDMARC؟

بريد الإيميل في أصله بروتوكول قديم لم يُصمَّم للتحقق من هوية المرسل، ولذلك يستطيع أي شخص تقنياً أن يكتب عنوان مرسل يشبه عنوان شركتك ويرسل رسائل احتيالية باسمك. النتيجة تظهر في ثلاث صور:

رسائل مشروعة تذهب إلى البريد المزعج: عروض الأسعار والفواتير وردود خدمة العملاء التي ترسلها من إيميل الشركة قد لا تصل إذا لم يستطع الطرف المستقبل التأكد من مصدرها.
انتحال اسم الشركة: قد يتلقى عملاؤك أو موردوك رسالة تبدو صادرة منك تطلب تحويلاً أو بيانات حساسة، وهذا يضر بالسمعة قبل أن يضر بالمال.
ضعف سمعة النطاق: كلما زادت الرسائل المرفوضة أو المبلغ عنها كبريد مزعج انخفضت سمعة نطاقك لدى مزودي الخدمة، فتتأثر حتى الرسائل السليمة.

ولم يعد الأمر خياراً تجميلياً. تنص إرشادات المرسلين في Gmail، السارية منذ فبراير 2024، على أن يعتمد جميع المرسلين إلى حسابات Gmail الشخصية المصادقة بـ SPF أو DKIM، وأن يضيف المرسلون الكبار (الذين يرسلون أكثر من 5,000 رسالة يومياً) SPF وDKIM وDMARC معاً. وحتى لو كان حجم إرسالك صغيراً فالالتزام بالثلاثة هو الممارسة السليمة. وإذا لم تكن قد أنشأت إيميل باسم نطاقك بعد، فابدأ بقراءة دليل إيميل بيزنس: ما هو وكيف تنشئه ثم عد إلى هذه الخطوات.

ما هو سجل SPF وكيف يعمل؟

SPF اختصار Sender Policy Framework، وهو سجل نصي (TXT) في DNS يحدد قائمة الخوادم والخدمات المصرح لها بإرسال الإيميل باسم نطاقك. عندما تصل رسالة إلى الطرف المستقبل، يسأل خادمه نظام DNS الخاص بنطاقك: هل عنوان الخادم الذي أرسل هذه الرسالة موجود في القائمة المعتمدة؟ إذا كان موجوداً تنجح الفحص، وإلا يُعامل الإرسال بشك.

مثال توضيحي لسجل SPF لشركة تستخدم Google Workspace وخدمة إرسال رسائل تسويقية:

v=spf1 include:_spf.google.com include:mailer.example.net ~all

تفسير مكوناته:

v=spf1: يعلن أن هذا السجل من نوع SPF.
include: يضم قائمة خوادم مزود معين، مثل Google أو Microsoft أو منصة الرسائل التسويقية.
~all أو -all: ما يُفعل بالرسائل القادمة من خارج القائمة. الصيغة ~all تعني فشلاً ناعماً، والصيغة -all تعني رفضاً صارماً.

أخطاء شائعة في SPF

وجود أكثر من سجل SPF واحد للنطاق: يجب أن يكون هناك سجل واحد فقط يضم كل المصادر، وتعدد السجلات يُفشل الفحص كله.
تجاوز حد الاستعلامات: يسمح المعيار بعشرة استعلامات DNS على الأكثر أثناء تقييم السجل، وكثرة تعليمات include تتجاوز هذا الحد بسهولة.
نسيان خدمة إرسال: متجر إلكتروني أو نظام فواتير أو أداة تسويق ترسل باسم نطاقك ولم تُضف إلى السجل.

ما هو DKIM ولماذا يُكمل SPF؟

DKIM اختصار DomainKeys Identified Mail، وهو توقيع رقمي يُضاف إلى ترويسة كل رسالة صادرة. يملك خادم الإرسال مفتاحاً خاصاً يوقّع به الرسالة، وتُنشر النسخة العامة من المفتاح في سجل DNS. يستخدم الطرف المستقبل المفتاح العام للتأكد من أمرين: أن الرسالة صدرت فعلاً من مصدر يملك المفتاح الخاص، وأن محتواها لم يتغير أثناء الطريق.

الفرق الجوهري بين الاثنين أن SPF يتحقق من الخادم المرسِل، بينما DKIM يتحقق من الرسالة نفسها. وSPF قد يفشل عند تحويل الرسالة (Forwarding) لأن الخادم المحوّل ليس في قائمتك، في حين يبقى توقيع DKIM سليماً غالباً. لذلك يُنصح بتفعيل الاثنين معاً وعدم الاكتفاء بأحدهما.

كيف تفعّل DKIM؟

ادخل إلى لوحة إدارة مزود الإيميل (Google Workspace أو Microsoft 365 أو Zoho أو غيرها) وابحث عن قسم مصادقة البريد.
أنشئ مفتاح DKIM، وسيعطيك المزود اسماً للسجل (Selector) وقيمة طويلة للمفتاح العام.
أضف السجل كما هو في DNS عند مسجّل النطاق، ويكون غالباً من نوع TXT أو CNAME بحسب المزود.
انتظر انتشار التغيير ثم اضغط زر التفعيل أو التحقق في لوحة المزود.

لمقارنة المزودين من حيث سهولة هذه الإعدادات وبقية الميزات، راجع مقارنة Google Workspace وMicrosoft 365 وZoho Mail.

ما هو DMARC وما الذي يضيفه؟

DMARC اختصار Domain-based Message Authentication, Reporting and Conformance. هو الطبقة التي تربط SPF وDKIM بسياسة واضحة، وتجيب عن سؤال: ماذا يفعل الطرف المستقبل بالرسالة إذا فشلت المصادقة؟ ويضيف أيضاً ميزة التقارير، فتصلك ملخصات دورية تُظهر من يرسل باسم نطاقك، ومن ضمنهم خدمات نسيتها أو جهات منتحلة.

ولكي ينجح DMARC لا يكفي نجاح SPF أو DKIM وحده، بل يجب أن يكون النطاق الظاهر للمستخدم في حقل From متوافقاً (Aligned) مع النطاق الذي اجتاز أحد الفحصين. وهذا شرط تؤكده إرشادات Gmail للمرسلين.

مثال لسجل DMARC يُضاف كنص TXT على الاسم _dmarc:

v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com

سياسات DMARC الثلاث

السياسة	معناها	متى تستخدمها
p=none	مراقبة فقط دون التأثير على وصول الرسائل، مع استلام التقارير	نقطة البداية دائماً لاكتشاف كل مصادر الإرسال
p=quarantine	الرسائل الفاشلة تُوجَّه إلى البريد المزعج	بعد التأكد من أن كل الخدمات المشروعة تجتاز الفحص
p=reject	الرسائل الفاشلة تُرفض ولا تصل	المستوى الأقوى للحماية من الانتحال بعد استقرار النتائج

الترتيب الصحيح لإعداد المصادقة خطوة بخطوة

احصر مصادر الإرسال: اكتب قائمة بكل ما يرسل باسم نطاقك: خدمة الإيميل الأساسية، موقع الشركة ونماذجه، المتجر الإلكتروني، نظام المحاسبة، أداة التسويق بالبريد، نظام تذاكر الدعم.
أضف SPF واحداً شاملاً: ضمّن فيه كل الخدمات المعتمدة بصيغة include، واختر ~all في البداية.
فعّل DKIM لكل مصدر يدعمه: البداية بخدمة الإيميل الأساسية، ثم بقية المنصات التي تتيح توقيعاً باسم نطاقك.
انشر DMARC على p=none مع عنوان تقارير: واتركه فترة كافية لقراءة التقارير وتصحيح أي مصدر فاشل.
شدّد السياسة تدريجياً: انتقل إلى quarantine ثم reject عندما تُظهر التقارير أن الرسائل المشروعة كلها تنجح.
راجع بعد أي تغيير: إضافة منصة جديدة أو تغيير مزود الإيميل يستوجب تحديث السجلات.

أهم ما في هذا الترتيب أنك لا تقفز مباشرة إلى reject، لأن ذلك قد يحجب رسائل مشروعة من خدمات نسيتها فتخسر عملاء وفواتير دون أن تدري.

كيف تفحص أن إعداداتك تعمل؟

بعد إضافة السجلات وانتشارها، تحقق بثلاث طرق:

أدوات الفحص المجانية: أدخل نطاقك في أداة فحص SPF وDKIM وDMARC وراجع أي تحذير يظهر لك.
رسالة تجريبية إلى Gmail: افتح الرسالة واختر عرض الرسالة الأصلية، وستجد نتائج SPF وDKIM وDMARC مكتوبة بوضوح كنجاح أو فشل.
قراءة تقارير DMARC: تكشف لك أي مصدر يرسل باسمك ولا يجتاز الفحص.

للتعرف على إطار DMARC من مرجع محايد، يمكنك الرجوع إلى النظرة العامة على DMARC في dmarc.org، ولمعرفة متطلبات Gmail الحالية للمرسلين اقرأ إرشادات المرسلين في دعم Gmail.

نصائح إضافية لتحسين وصول الرسائل إلى الوارد

المصادقة شرط أساسي لكنها ليست العامل الوحيد في وصول الرسائل. حافظ على قائمة مستلمين نظيفة، ولا ترسل لمن لم يوافق على استقبال رسائلك، وأتح رابط إلغاء اشتراك واضحاً في الرسائل التسويقية، وتجنب العناوين المبالغ فيها والروابط المختصرة المشبوهة. وانتبه إلى أن تكون هوية المرسل ثابتة: نفس الاسم ونفس العنوان في الحملات المتكررة. أما إن كان نشاطك يعتمد على الإعلانات لجلب العملاء ثم متابعتهم بالبريد، فوصول الرسائل يؤثر مباشرة على عائد حملاتك، وهو جزء من منظومة التسويق المتكاملة التي نبنيها لعملائنا.

الأخطاء الأكثر تكراراً عند إعداد DNS

نسخ القيم بمسافات زائدة أو علامات اقتباس إضافية تُفسد السجل، فالصق القيمة كما أعطاك المزود تماماً.
إضافة السجل على النطاق الخطأ: بعض لوحات DNS تضيف اسم النطاق تلقائياً، فيصبح الاسم مكرراً.
الاستعجال في تفعيل reject قبل مراجعة التقارير.
إهمال النطاقات الفرعية والنطاقات غير المستخدمة: يستغلها المنتحلون، ويُستحسن حمايتها بسياسة DMARC أيضاً.
إغفال التحديث بعد تغيير المزود: تبقى سجلات المزود القديم في DNS وتضعف الأمان.

سيناريو عملي: شركة لديها أكثر من مصدر إرسال

لنفترض شركة خدمات في الدمام تستخدم Google Workspace لبريد الموظفين، ومتجراً إلكترونياً يرسل تأكيدات الطلبات، وأداة للنشرات البريدية، ونظام محاسبة يرسل الفواتير. إذا ضُبط SPF لبريد الموظفين فقط، فستفشل رسائل المتجر والأداة والنظام المحاسبي في الفحص، وقد تذهب فواتير العملاء إلى البريد المزعج دون أن يلاحظ أحد. الحل أن تُضم الخدمات الأربع إلى سجل SPF واحد، وأن يُفعَّل DKIM لكل خدمة تتيح ذلك، ثم يُنشر DMARC بسياسة المراقبة ليُظهر التقرير أي مصدر لا يزال يفشل.

بعد أسابيع من قراءة التقارير تتضح الصورة: خدمات سليمة، وخدمة منسية، وربما مصدر غريب لا تعرفه. هنا فقط تنتقل إلى سياسة أشد. وهذه المنهجية أهم من أي سجل منفرد، لأنها تحميك من حجب رسائل مشروعة وتكشف محاولات الانتحال في آن واحد.

المتابعة الدورية بعد الإعداد

ضبط السجلات ليس عملاً يُنجز مرة واحدة. حدد من يتولى مراجعة تقارير DMARC شهرياً، وضع قاعدة داخلية بأن أي أداة جديدة ترسل باسم الشركة لا تُفعَّل قبل إضافتها إلى SPF وDKIM. وعند تغيير مزود الإيميل أو الاستضافة أو مسجل النطاق، أعد فحص كل السجلات في اليوم نفسه. كذلك حافظ على صلاحيات الدخول إلى لوحة DNS محصورة في عدد قليل من الأشخاص المعتمدين، لأن تغييراً خاطئاً أو غير مصرح به في السجلات قد يوقف بريد الشركة كله أو يفتح باباً للانتحال.

وأخيراً، درّب الفريق على التعرف على رسائل التصيد، فالمصادقة التقنية تحمي نطاقك أنت من الانتحال، لكنها لا تمنع وصول رسائل احتيالية من نطاقات أخرى إلى صناديق موظفيك.

الأسئلة الشائعة

هل يكفي تفعيل SPF وحده؟

لا. SPF يتحقق من الخادم المرسل فقط وقد يفشل عند تحويل الرسائل، لذلك يُفعَّل معه DKIM لتوقيع الرسالة نفسها، ثم DMARC لتحديد السياسة وتلقي التقارير.

هل DMARC إلزامي لكل شركة؟

تشترط إرشادات Gmail وجود DMARC على المرسلين الكبار، وأما الشركات الصغيرة فيُنصح بإضافته أيضاً لأنه يحمي نطاقك من الانتحال ويمنحك رؤية بمن يرسل باسمك، ويمكن البدء بسياسة المراقبة p=none.

كم يستغرق ظهور أثر الإعدادات بعد إضافتها؟

يختلف الوقت بحسب مزود DNS، وغالباً ينتشر السجل خلال دقائق إلى بضع ساعات، وقد يطول أحياناً. افحص السجلات بالأدوات المجانية قبل الاعتماد عليها في الإرسال.

هل يمكن أن يعطّل DMARC رسائل شركتي المشروعة؟

نعم إذا فُعّلت سياسة quarantine أو reject قبل ضم كل خدمات الإرسال إلى SPF وDKIM. لذلك نبدأ بـ p=none ونقرأ التقارير ثم نشدد السياسة تدريجياً.

هل يلزمني خبير تقني لإضافة هذه السجلات؟

الخطوات بسيطة نسبياً لمن لديه صلاحية الوصول إلى DNS، لكن أخطاء النسخ واللصق والتعارض بين مزودين متعددين شائعة. إن لم تكن متأكداً فالأفضل أن ينفذها فريق متخصص ثم يفحصها.

هل تنطبق هذه الإعدادات على كل مزودي الإيميل؟

نعم. المبدأ واحد في Google Workspace وMicrosoft 365 وZoho وغيرها، وتختلف فقط أسماء الصفحات وقيم include والمفاتيح التي يعطيها كل مزود.

هل تريد أن نضبط إيميل شركتك بشكل صحيح؟

في بيزنس سولوشنز بالعربي ننشئ إيميل الشركة ونضبط سجلات SPF وDKIM وDMARC ونفحصها حتى تصل رسائلك إلى الوارد وتبقى هوية شركتك محمية، لعملائنا في الرياض والدمام والخبر والمنطقة الشرقية. تعرّف على خدمة إيميل بيزنس أو تواصل معنا الآن لنراجع وضع نطاقك الحالي.

إعدادات SPF وDKIM وDMARC: دليل خطوة بخطوة لحماية إيميل شركتك

لماذا تحتاج شركتك إلى إعدادات SPF وDKIM وDMARC؟